Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\35688407\fof.exe %TEMP%\35688407\APB_EM~1'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '35688407' = '%TEMP%\35688407\start.vbs'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\start.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\35688407\dnk.docx
- %TEMP%\35688407\olo.docx
- %TEMP%\35688407\ftw.docx
- %TEMP%\35688407\pnx.txt
- %TEMP%\35688407\ahe.ico
- %TEMP%\35688407\buf.bmp
- %TEMP%\35688407\lle.icm
- %TEMP%\35688407\veh.ico
- %TEMP%\35688407\kvt.jpg
- %TEMP%\35688407\bva.ppt
- %TEMP%\35688407\bbj.icm
- %TEMP%\35688407\xef.ppt
- %TEMP%\35688407\gmk.pdf
- %TEMP%\35688407\kkt.ppt
- %TEMP%\35688407\wlw.docx
- %TEMP%\35688407\gmn.ppt
- %TEMP%\35688407\njunv
- %TEMP%\35688407\yrpns
- %TEMP%\35688407\ini
- %TEMP%\35688407\run.vbs
- %TEMP%\35688407\fomaj
- %TEMP%\35688407\start.vbs
- %TEMP%\35688407\start.cmd
- %TEMP%\35688407\gnupm
- %TEMP%\35688407\ycufw
- %TEMP%\35688407\emqou
- %TEMP%\35688407\ugblb
- %TEMP%\35688407\mvpal
- %TEMP%\35688407\yumso
- %TEMP%\35688407\mmqqu
- %TEMP%\35688407\uvkcn
- %TEMP%\35688407\bjg.txt
- %TEMP%\35688407\uqd.ico
- %TEMP%\35688407\isg.mp4
- %TEMP%\35688407\dnh.mp4
- %TEMP%\35688407\apb=emd
- %TEMP%\35688407\xqi.vbs
- %TEMP%\35688407\fof.exe
- %TEMP%\35688407\mas.ico
- %TEMP%\35688407\tmi.xl
- %TEMP%\35688407\uit.docx
- %TEMP%\35688407\nap.mp4
- %TEMP%\35688407\dbr.docx
- %TEMP%\35688407\hwd.ico
- %TEMP%\35688407\kch.docx
- %TEMP%\35688407\vhi.mp4
- %TEMP%\35688407\fph.jpg
- %TEMP%\35688407\xkw.pdf
- %TEMP%\35688407\orw.mp4
- %TEMP%\35688407\tnl.jpg
- %TEMP%\35688407\wkt.icm
- %TEMP%\35688407\ukt.txt
- %TEMP%\35688407\sev.jpg
- %TEMP%\35688407\iqa.pdf
- %TEMP%\35688407\aqw.icm
- %TEMP%\35688407\pke.ppt
- %TEMP%\35688407\lig.xl
- %TEMP%\35688407\ntq.mp3
- %TEMP%\35688407\gro.dat
- %TEMP%\35688407\psl.dat
- %TEMP%\35688407\agf.mp3
- %TEMP%\35688407\sqq.docx
- %TEMP%\35688407\dsh.mp4
- %TEMP%\35688407\utl.jpg
- %TEMP%\35688407\tgc.jpg
- %TEMP%\35688407\dva.icm
- %TEMP%\35688407\rxdhf
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\35688407\fof.exe
- %TEMP%\35688407\ntq.mp3
- %TEMP%\35688407\olo.docx
- %TEMP%\35688407\orw.mp4
- %TEMP%\35688407\pke.ppt
- %TEMP%\35688407\pnx.txt
- %TEMP%\35688407\psl.dat
- %TEMP%\35688407\sev.jpg
- %TEMP%\35688407\sqq.docx
- %TEMP%\35688407\tgc.jpg
- %TEMP%\35688407\tmi.xl
- %TEMP%\35688407\tnl.jpg
- %TEMP%\35688407\ukt.txt
- %TEMP%\35688407\start.cmd
- %TEMP%\35688407\uqd.ico
- %TEMP%\35688407\utl.jpg
- %TEMP%\35688407\veh.ico
- %TEMP%\35688407\vhi.mp4
- %TEMP%\35688407\wkt.icm
- %TEMP%\35688407\wlw.docx
- %TEMP%\35688407\xef.ppt
- %TEMP%\35688407\xkw.pdf
- %TEMP%\35688407\xqi.vbs
- %TEMP%\35688407\ini
- %TEMP%\35688407\run.vbs
- %TEMP%\35688407\nap.mp4
- %TEMP%\35688407\uit.docx
- %TEMP%\35688407\mas.ico
- %TEMP%\35688407\dsh.mp4
- %TEMP%\35688407\agf.mp3
- %TEMP%\35688407\ahe.ico
- %TEMP%\35688407\apb=emd
- %TEMP%\35688407\aqw.icm
- %TEMP%\35688407\bbj.icm
- %TEMP%\35688407\bjg.txt
- %TEMP%\35688407\buf.bmp
- %TEMP%\35688407\bva.ppt
- %TEMP%\35688407\dbr.docx
- %TEMP%\35688407\dnh.mp4
- %TEMP%\35688407\dnk.docx
- %TEMP%\35688407\dva.icm
- %TEMP%\35688407\lig.xl
- %TEMP%\35688407\fph.jpg
- %TEMP%\35688407\ftw.docx
- %TEMP%\35688407\gmk.pdf
- %TEMP%\35688407\gmn.ppt
- %TEMP%\35688407\gro.dat
- %TEMP%\35688407\hwd.ico
- %TEMP%\35688407\iqa.pdf
- %TEMP%\35688407\isg.mp4
- %TEMP%\35688407\kch.docx
- %TEMP%\35688407\kkt.ppt
- %TEMP%\35688407\kvt.jpg
- %TEMP%\35688407\lle.icm
- %TEMP%\35688407\start.vbs
Удаляет следующие файлы
- %TEMP%\35688407\yrpns
- %TEMP%\35688407\fomaj
- %TEMP%\35688407\gnupm
- %TEMP%\35688407\ycufw
- %TEMP%\35688407\emqou
- %TEMP%\35688407\ugblb
- %TEMP%\35688407\mvpal
- %TEMP%\35688407\yumso
- %TEMP%\35688407\mmqqu
- %TEMP%\35688407\uvkcn
- %TEMP%\35688407\njunv
- %TEMP%\35688407\rxdhf
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\35688407\xqi.vbs"
- '%TEMP%\35688407\fof.exe' apb=emd
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YRPNS
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\35688407\run.vbs"
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\FOMAJ
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\GNUPM
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YCUFW
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\EMQOU
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\UGBLB
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\MVPAL
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\YUMSO
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\MMQQU
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\UVKCN
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\NJUNV
- '%TEMP%\35688407\fof.exe' %TEMP%\35688407\RXDHF
